基本匹配条件的核心要素与配置逻辑
Iptables的规则就像“交通信号灯”，而基本匹配条件就是“判断依据”——哪些流量能过、哪些要拦，全看这些条件怎么设。新手最容易犯的错就是上来就堆复杂规则，其实把基础打牢了，80%的防护需求都能满足。
源/目标IP地址匹配：从单IP到网段的精准控制
IP匹配是最常用的条件，简单说就是“从哪来”（源IP）和“到哪去”（目标IP）。去年帮一个做小程序后端的朋友配置服务器，他为了图省事，直接用iptables -A INPUT -j ACCEPT开放了所有入站流量，结果三天就被扫描了2000多次。后来我教他用-s参数限制源IP，比如只允许公司办公网的IP段访问数据库端口，命令是iptables -A INPUT -s 10.0.0.0/24 -p tcp dport 3306 -j ACCEPT，恶意访问立马少了90%。
这里有个细节要注意：IP可以是单个地址（如192.168.1.100）、网段（如192.168.1.0/24），甚至可以用!取反（比如! -s 10.0.0.5表示“除了这个IP之外”）。但千万别用0.0.0.0/0这种“所有IP”，除非你想把服务器变成“公共厕所”。
端口与协议匹配：TCP/UDP/ICMP的差异化设置
光限制IP还不够，端口和协议的匹配也得跟上。举个例子，HTTP用的是TCP协议80端口，DNS用的是UDP协议53端口，这俩要是混着配，规则肯定失效。我之前见过有人写iptables -A INPUT -p udp dport 80 -j ACCEPT，结果网页死活打不开，就是因为协议和端口不匹配——HTTP明明是TCP协议啊！
不同协议的匹配参数也不一样：TCP和UDP要用dport（目标端口）或sport（源端口），比如开放8080端口给外部访问，命令是iptables -A INPUT -p tcp dport 8080 -j ACCEPT；而ICMP协议（也就是ping命令用的）不需要端口，直接用-p icmp，如果想禁止外部ping服务器，就用iptables -A INPUT -p icmp -j DROP。
规则编写的基本语法：链选择与参数组合
规则不是随便加的，得先搞清楚“往哪个链上挂”。Iptables有INPUT（入站）、OUTPUT（出站）、FORWARD（转发）三条默认链，比如限制别人访问你的服务器，就用INPUT链；限制服务器访问外部，用OUTPUT链。参数的顺序也有讲究，正确的格式是iptables -t 表名 -A 链名 匹配条件 -j 动作，比如iptables -t filter -A INPUT -s 192.168.1.10 -p tcp dport 22 -j ACCEPT，意思是“在filter表的INPUT链中，允许源IP为192.168.1.10的TCP流量访问22端口”。
为了让你更直观理解，我整理了一张常用基本匹配条件的参数表，平时配规则照着查就行：
| 匹配类型 | 核心参数 | 作用说明 | 示例命令 |
|---|---|---|---|
| 源IP地址 | -s 或 source | 限制流量来源IP/网段 | iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT |
| 目标IP地址 | -d 或 destination | 限制流量目标IP/网段 | iptables -A OUTPUT -d 8.8.8.8 -j ACCEPT |
| 端口匹配 | dport/sport | 指定目标/源端口（需配合-p协议） | iptables -A INPUT -p udp dport 53 -j ACCEPT |
| 协议类型 | -p 或 protocol | 指定TCP/UDP/ICMP等协议 | iptables -A INPUT -p icmp -j DROP |
（表格说明：以上为最常用的4种基本匹配条件，参数可组合使用，如同时限制IP和端口）
实战中的避坑指南与规则优化
就算把参数背得滚瓜烂熟，实际配置时还是可能踩坑。我见过最离谱的案例：一个运维同学配完规则，发现SSH连不上服务器，排查了两小时才发现，他把“允许22端口”的规则加在了“拒绝所有”规则的后面——Iptables是按顺序匹配的，前面的规则一旦生效，后面的就“白写”了。
规则顺序：把“允许”放在“拒绝”前面
Iptables的规则就像排队安检，排在前面的先检查。正确的顺序应该是“特殊允许”→“一般限制”→“默认拒绝”。比如先允许SSH（22端口）、HTTP（80端口）等必要服务，最后用iptables -P INPUT DROP设置默认策略为拒绝所有未匹配的流量。之前帮一个游戏公司配置服务器时，他们的老规则是先拒绝所有，再允许端口，结果新开放的8080端口死活不通，调整顺序后立马好了。
规则冲突：别让“允许”和“拒绝”打架
有时候规则看着没问题，但实际就是不生效，很可能是参数冲突了。比如同时设置了-s 192.168.1.10 -j ACCEPT和-s 192.168.1.0/24 -j DROP，这时候192.168.1.10这个IP到底能不能过？答案是“能”，因为具体IP（192.168.1.10）的规则比网段（192.168.1.0/24）更精确，会优先匹配。Red Hat的文档里专门提到过，匹配条件越具体，优先级越高（参考链接：https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/security_guide/sec-understanding_iptables[nofollow]）。
规则持久化：别让重启“清空”你的配置
最让人崩溃的莫过于“配置好的规则，重启服务器后全没了”。这是因为Iptables的规则默认保存在内存里，重启就会丢失。正确的保存方法分系统：CentOS用service iptables save，Ubuntu用iptables-save > /etc/iptables/rules.v4，Debian则需要安装iptables-persistent工具。上周帮一个朋友恢复服务器，他就是忘了保存规则，重启后防火墙“裸奔”，幸好数据没丢，不然损失就大了。
最后教你个验证规则的小技巧：配完后用iptables -L查看所有规则，再用telnet 服务器IP 端口测试是否能访问（比如测试80端口：telnet 1.2.3.4 80）。如果不通，检查规则顺序和参数是否有误；如果能通，记得用前面说的方法保存配置。
其实Iptables没那么难，关键是把基本匹配条件吃透，再注意规则顺序和持久化。如果你按这些方法试了，欢迎回来告诉我效果——毕竟安全这事儿，多交流才能少踩坑嘛！
查看Iptables规则其实特别简单，最常用的就是iptables -L这个命令，直接在终端里敲一下，就能看到所有链（INPUT、OUTPUT、FORWARD）的规则列表，包括每条规则的匹配条件、目标动作这些。不过这里有个小细节，如果你服务器上规则比较多，或者配置了域名形式的IP，直接用iptables -L可能会有点慢，因为它会尝试把IP解析成域名。我之前帮一个客户查规则，他服务器上有上百条规则，没加参数等了快半分钟才显示完，后来加上-n参数（iptables -L -n），瞬间就出来了——-n的作用就是让IP和端口都显示数字形式，跳过域名解析，效率高多了，你平时查规则记得加上这个参数，省时间。
光看规则内容还不够，规则的顺序和编号也很关键，毕竟Iptables是按顺序匹配的，前面的规则生效了，后面的就不管了。如果你想知道某条规则排在第几位，或者想删除/修改特定规则，就得用line-numbers参数。比如你想单独看INPUT链的规则和编号，就敲iptables -L INPUT line-numbers，这时候每条规则前面都会标上序号，像“1”“2”“3”这样。之前我自己配规则时，想删一条错误的拒绝规则，结果没看编号，直接用iptables -D INPUT删了第一条允许SSH的规则，导致自己都连不上服务器，后来才发现用line-numbers能精准定位，比如看到错误规则是第5条，直接iptables -D INPUT 5就能删掉，再也不用担心误操作了。
如何查看当前Iptables已配置的规则？
使用iptables -L命令可以列出所有链（INPUT、OUTPUT、FORWARD）的规则，添加-n参数可显示IP和端口的数字形式（避免域名解析延迟），如iptables -L -n。若需查看规则的详细顺序和编号，可加line-numbers，例如iptables -L INPUT line-numbers，方便后续删除或修改特定规则。
配置Iptables规则后服务器无法访问，可能是什么原因？
常见原因包括：规则顺序错误（如“拒绝所有”规则排在“允许必要端口”之前）、默认策略设置不当（如INPUT链默认策略设为DROP却未开放SSH端口）、端口与协议不匹配（如用UDP协议匹配HTTP端口）、IP或网段填写错误（如子网掩码写错导致规则不生效）。可通过iptables -L检查规则顺序，或暂时清空规则（iptables -F）后逐步添加排查。
基本匹配条件和扩展匹配条件有什么区别？
基本匹配条件是Iptables内置的基础功能，无需额外加载模块，支持源/目标IP、端口（dport/sport）、协议（TCP/UDP/ICMP）等核心参数；扩展匹配条件需通过-m参数加载模块（如-m multiport支持多端口匹配、-m state匹配连接状态），功能更复杂但灵活。新手 先掌握基本匹配条件，满足多数基础防护需求后再学习扩展条件。
如何永久保存Iptables规则，防止重启后丢失？
不同Linux发行版保存方法不同：CentOS/RHEL系统可使用service iptables save或/usr/libexec/iptables/iptables.init save；Ubuntu/Debian需先安装iptables-persistent工具（apt install iptables-persistent），保存规则用iptables-save > /etc/iptables/rules.v4（IPv4）；通用方法可将规则导出到文件（iptables-save > /root/iptables.rules），重启时通过iptables-restore < /root/iptables.rules恢复。
可以同时设置多个基本匹配条件吗？比如同时限制IP和端口？
可以。Iptables支持多个基本匹配条件组合，只需在命令中依次添加参数即可。 限制“仅允许192.168.1.0/24网段访问TCP 8080端口”，命令为iptables -A INPUT -s 192.168.1.0/24 -p tcp dport 8080 -j ACCEPT，其中-s（IP）、-p（协议）、dport（端口）三个条件同时生效，只有满足所有条件的流量才会被允许。
